身分識別提供者 (IDP) 安全性：它是什麼以及為何重要

什麼是身分識別提供者安全性？

身分識別提供者 (IdP) 會管理數位身分並驗證使用者，接著在聯邦式環境中向信賴方簽發經密碼編譯簽署的聲明。根據 NIST SP 800-63C，您的 IdP 會執行密碼編譯作業，在授予對雲端應用程式、內部部署系統及混合式資源的存取權之前驗證訂閱者身分。

可將您的 IdP 視為每個應用程式都信任的守門人。當您透過單一登入登入 Salesforce、Microsoft 365 或內部應用程式時，您的 IdP 會為您的身分背書。遭入侵的 IdP 會暴露所有信任您身分識別提供者聲明的對象，使得 身分安全 對組織防護至關重要。

為何 IdP 安全性很重要

網路釣魚攻擊 鎖定驗證憑證的事件在 2024 年激增 813%，根據 FBI Internet Crime Complaint Center 的資料，通報事件從 2,856 件攀升至 23,252 件。這些並非隨機攻擊：而是為憑證蒐集作業提供來源、系統化鎖定您身分識別提供者的攻擊活動。當攻擊者入侵您的 IdP 時，他們便能取得您環境中每個聯邦式應用程式的受信任存取權。

您的身分識別提供者會簽發下游系統無需額外驗證即可接受的驗證聲明。根據 NSA-CISA guidance on identity federation，當聯邦安全性失效時，這種信任關係就會成為弱點，並構成取得聯邦式系統管理存取權的已知威脅向量。

IdP 實際如何運作

您的身分識別提供者透過三個相互協作的關鍵技術層運作，以驗證使用者並授權存取。

1. 目錄服務 維護階層式身分資料：使用者帳戶、群組成員資格、裝置註冊及存取控制原則。了解 身分存取管理 有助於組織實作適當的目錄安全性。
2. 驗證引擎 會驗證憑證並簽發安全性權杖。這些引擎會針對 SAML 聲明、OAuth 存取權杖及 OpenID Connect ID 權杖實作特定通訊協定邏輯。像 Entra ID 這類現代身分識別提供者展示了這些驗證引擎如何大規模運作。
3. 帳戶管理 會處理從佈建到解除佈建的身分生命週期，包括密碼重設、多重要素註冊及憑證輪替。

這些技術層仰賴標準化通訊協定與外部應用程式和服務通訊。

您的 IdP 使用的通訊協定

您的身分識別提供者仰賴三種核心驗證通訊協定，以在整個環境中啟用聯邦式存取。

• SAML 2.0 會在您的 IdP 與服務提供者之間交換以 XML 為基礎的驗證聲明。 NIST NVD CVE-2025-47949 記錄了一項弱點，允許攻擊者偽造 SAML 回應並以任何使用者身分完成驗證。
• OAuth and OpenID Connect 可在不共用憑證的情況下授權委派存取。根據 IETF RFC 9700，OAuth 實作面臨特定威脅，包括權杖竊取、授權碼攔截及用戶端憑證遭入侵。
• OpenID Connect 在 OAuth 2.0 之上建立身分層，新增包含使用者身分宣告的 ID 權杖。工作階段劫持攻擊會在驗證後竊取有效權杖：FBI 記錄到 LockBit 勒索軟體附屬組織利用 Citrix NetScaler 中的 CVE-2023-4966 來繞過 MFA。了解可抗網路釣魚的 MFA 對於防止這些繞過技術變得至關重要。

了解這些通訊協定可揭示為何攻擊者會系統性地將身分基礎架構作為其主要入侵點。

身分識別提供者安全性的核心元件

身分識別提供者安全性透過相互連結的防禦層運作，這些防禦層共同協作以防止未經授權的存取。

• 密碼編譯金鑰管理 可保護您的 IdP 用於簽發驗證聲明的簽署金鑰與憑證。根據 NIST SP 800-57，這些金鑰需要使用硬體安全模組 (HSM) 儲存、定期輪替排程及存取記錄。遭入侵的簽署金鑰可讓攻擊者在不直接破壞您的 IdP 的情況下，為任何使用者偽造有效的驗證權杖。
• 目錄強化 可保護包含使用者帳戶、密碼與群組成員資格的底層身分識別儲存庫。這包括實作分層管理模型，將特權帳戶與標準使用者分離、為管理工作部署特權存取工作站，以及監控目錄複寫流量中的 DCSync attacks 指標。
• 通訊協定安全性強制執行 會驗證 SAML 判斷提示、OAuth 權杖與 OpenID Connect ID 權杖是否符合密碼編譯要求。這表示需要進行簽章驗證、時間戳記驗證，以及受眾限制檢查。 

了解這些元件可揭示身分識別基礎架構保護在哪些地方成功或失敗。

保護身分識別提供者的關鍵原則

三項基礎安全原則可指引有效的身分識別提供者保護策略。

1. 跨信任邊界的縱深防禦 認知到單一安全控制會失效。您的 IdP 安全性需要多個彼此重疊的控制：具抗網路釣魚能力的 MFA 可防止初始入侵、行為分析可偵測異常驗證模式，而工作階段控制可在認證遭竊時限制入侵影響。 
2. 假設已遭入侵的思維 意味著在設計 IdP 安全性時，預期攻擊者最終將竊取認證或入侵端點。這會促使採用嚴格的工作階段逾時原則、持續驗證身分驗證，以及在偵測到入侵時可全域使所有工作階段失效的能力。假設初始存取將會發生的組織，會專注於限制 lateral movement 並偵測權限提升嘗試。
3. 持續驗證 相較於靜態信任，要求根據目前風險情境即時做出存取決策，而不是假設已驗證的使用者在整個工作階段期間都持續可信。 

這些原則提供了實作技術控制的架構，以阻止以身分識別為基礎的攻擊。

鎖定您身分識別基礎架構的威脅

The NSA and CISA 明確指出，內部部署身分識別提供者遭入侵是轉向雲端管理存取的「已知威脅向量」。了解 account hijacking 與認證竊取技術，有助於組織防禦這些以身分識別為重點的攻擊。

攻擊者如何入侵 IdP

攻擊者使用三種主要技術來入侵身分識別提供者，並取得對聯合系統的持續存取權。

• 鎖定聯合基礎架構 始於您的內部部署環境。攻擊者會入侵本機 IdP、擷取聯合憑證或 SAML 安全金鑰，然後使用您遭竊的密碼編譯材料偽造驗證權杖。根據 NSA-CISA 身分聯合指引，這可讓攻擊者轉向取得雲端資源中的管理存取權。這些偽造權杖會完全繞過周邊安全性，因為您的雲端資源信任該聯合關係。
• 認證蒐集 會透過網路釣魚網站、惡意軟體與社交工程系統性地蒐集認證。 Identity Theft Resource Center在 2024 年至少識別出 29 起有文件記錄的憑證填充攻擊，攻擊者使用先前遭入侵的憑證來取得未經授權的存取權。您的 IdP 觀察到數千次驗證嘗試，這些嘗試使用有效的使用者名稱與來自無關外洩事件的遭竊密碼。除了您的 IdP 安全性之外，實作網路入侵偵測系統有助於在這些攻擊模式得逞之前識別它們。什麼是 IDPS（入侵偵測與防禦系統）？這些系統結合了監控與封鎖能力：入侵偵測系統會對可疑活動發出警示，而入侵防禦則會主動封鎖惡意流量。了解 IDPS 的含義有助於您部署分層防禦，以找出並阻止針對您身分基礎架構的攻擊。了解man-in-the-middle attacks 可協助您部署額外的分層防禦。
• 用於繞過 MFA 的工作階段劫持 發生在合法驗證完成之後。高階攻擊者不會直接破解 MFA，而是竊取已驗證的工作階段。根據 FBI IC3 LockBit 3.0 Ransomware Advisory，聯邦執法機關已記錄到利用工作階段劫持來繞過多重要素驗證的活躍攻擊。

聯合架構的安全性影響

聯合會造成連鎖式信任弱點。當您建立聯合信任關係時，您的安全邊界會延伸，納入您 IdP 的安全態勢，以及信賴方驗證判斷提示的能力。根據 NSA-CISA 指引，已知威脅向量之一是入侵內部部署 IdP 並轉向取得管理存取權。組織必須強化其 identity security posture，同時實作全面的身分威脅偵測能力。

聯合安全性在哪裡失效

聯合架構引入了三類關鍵弱點，而攻擊者會系統性地加以利用。

• 混合環境會增加攻擊面。 您需要保護連接不同環境的同步代理程式、跨越信任邊界的聯合通訊協定，以及跨來源原則。根據 CISA's Hybrid Identity Solutions guidance，攻擊面橫跨內部部署與雲端環境。實作雲端安全原則有助於組織管理這個擴大的攻擊面。
• 儘管規格已相當成熟，通訊協定實作缺陷仍然存在。 SAML security vulnerabilities 與 OAuth 攻擊仍然常見。根據 NIST NVD CVE-2025-47949，SAML 實作中的簽章包裝攻擊使攻擊者能夠「偽造 SAML 回應並以任何使用者身分進行驗證」。
• 多雲聯盟會放大權杖竊取風險。 當驗證流程跨越多個雲端供應商時，權杖會穿越額外的管理網域，在這些網域中可能遭到攔截、重放或網路釣魚竊取。供應鏈入侵事件展現了聯盟的連鎖效應。ITRC 記錄了 2025 年上半年 79 起供應鏈入侵事件，影響 690 個下游實體，並發出 7,830 萬份受害者通知。全面的雲端工作負載防護可因應這些多雲聯盟風險。

常見的 IdP 安全錯誤

組織一再犯下相同的身分提供者安全錯誤，讓認證竊取與聯盟攻擊有機可乘。

• 接受薄弱的 MFA 實作會造成繞過機會。以 SMS 為基礎的一次性密碼可能透過SIM swapping攻擊遭到攔截。驗證器應用程式仍容易受到即時網路釣魚攻擊，攻擊者會立即轉送驗證碼。推播通知疲勞會導致使用者核准惡意驗證嘗試。根據 FBI IC3 LockBit 3.0 Ransomware Advisory，攻擊者正積極利用這些 MFA 弱點來繞過驗證控制。
• 未監控聯盟信任關係會讓攻擊者得以偽造驗證權杖。組織會與服務供應商建立聯盟信任，但從未驗證 SAML 憑證是否仍然安全，或 OAuth 用戶端認證是否已遭入侵。NSA-CISA 指引明確警告，遭入侵的聯盟憑證可讓攻擊者在不直接攻破 IdP 的情況下，以任何使用者身分進行驗證。
• 忽略工作階段逾時政策會延長攻擊者的存取時間窗口。組織為了使用者便利，將工作階段逾時設定為數天或數週，讓攻擊者竊得的工作階段權杖具有更長的有效期。當認證遭到入侵時，這些長效工作階段無法被迅速失效，因而無法及時控制入侵事件。
• 信任預設組態會讓已知弱點暴露在外。身分提供者出廠時採用寬鬆設定，優先考量部署便利性而非安全性。組織在未強化組態、未實作最小權限存取，或未啟用進階記錄功能的情況下部署這些預設值。CISA's ScubaGear評估一再發現，組織以不安全的預設設定執行身分基礎架構，而這些問題原本可透過自動化驗證立即發現。

這些組態與政策失敗造成了聯盟弱點，而攻擊者會系統性地利用這些弱點來入侵企業身分基礎架構。

IdP 安全最佳實務

NIST SP 800-63-3提供您的身分安全所需的風險導向框架。您可在三個面向選擇適當的保證等級：Identity Assurance Level (IAL)、Authenticator Assurance Level (AAL) 與 Federation Assurance Level (FAL)。實作條件式存取政策以及強健的多重要素驗證，可強化您的身分安全框架。

可阻止攻擊的驗證控制

具抗網路釣魚能力的驗證與零信任原則，構成可防禦身分安全的基礎。

使用 FIDO2/WebAuthn 實作具抗網路釣魚能力的 MFA。NSA 明確警告「並非所有形式的 MFA 都提供相同等級的保護。」FIDO2 驗證透過公開金鑰密碼學消除認證網路釣魚風險，私密金鑰則儲存在硬體驗證器中。以 SMS 為基礎的 OTP 驗證碼可能遭到網路釣魚或攔截。來自驗證器應用程式的 TOTP 驗證碼仍容易受到即時網路釣魚攻擊。FIDO2 的密碼學挑戰回應通訊協定可完全防止這些攻擊向量。組織應優先採用具抗網路釣魚能力的驗證方法。

將零信任原則套用至身分基礎架構。NIST SP 800-207確立了存取決策必須即時考量使用者情境、裝置狀態與環境屬性。了解零信任架構對於實作縱深防禦策略至關重要。

可抵禦工作階段劫持的工作階段管理

安全的工作階段管理需要具備密碼學強度的權杖、嚴格的逾時政策，以及可強制進行全域重新驗證的能力。

Generate session tokens using cryptographically secure random number generators with at least 128 bits of entropy. Transmit session tokens exclusively over HTTPS. Implement the HttpOnly flag to prevent client-side scripts from accessing session cookies: this blocks cross-site scripting attacks from stealing tokens. Implement absolute timeout for maximum session duration. When you suspect credential compromise, you need the capability to force global re-authentication invalidating all sessions. Understanding 工作階段劫持防護 程序有助於確保工作階段能快速失效。

用於身分專屬偵測的記錄

全面的記錄可擷取驗證事件，並提供足夠的情境資訊，以偵測認證濫用模式與 IdP 入侵嘗試。

記錄管理會擷取所有驗證嘗試，包括結果、方法與失敗原因。擷取 MFA 註冊變更、繞過嘗試與裝置註冊事件。根據OWASP Logging Cheat Sheet，事件記錄需要擷取何時（時間戳記）、何人（使用者身分、來源 IP）、何事（執行的動作）、何處（目標資源）、結果（成功或失敗）以及情境（工作階段識別碼、驗證方法）。將 IdP 記錄整合至您的SIEM，並透過關聯規則找出認證填充、密碼噴灑、不可能旅行與異常存取模式。了解身分攻擊偵測方法，可提升您主動搜尋 IdP 入侵指標的能力。

透過驗證實現組態安全

自動化組態驗證可防止安全性漂移，並在攻擊者利用錯誤組態之前將其發現。
CISA 的 Secure Cloud Business Applications 專案 提供自動化組態評估工具，可根據聯邦安全基準驗證您的租戶組態。手動組態審查會遺漏設定。當管理員在未經安全審查的情況下變更組態時，自動化驗證可捕捉組態漂移。實作適當的安全組態管理，可確保所有存取您身分基礎架構的裝置都受到強固保護。

使用 SentinelOne 阻止身分攻擊

當攻擊者透過憑證竊取、權限提升或橫向移動鎖定您的 IdP 時，您需要能夠即時關聯身分與端點資料的可視性。 Singularity Identity 透過即時防護阻止以身分為基礎的攻擊，偵測曝險、阻止憑證濫用，並降低混合環境中的身分風險。該平台可強化 Active Directory 與雲端身分提供者，包括 Entra ID、SecureAuth、Okta、Ping 和 Duo，同時在攻擊者建立持久化之前偵測偵察與憑證蒐集企圖。

Storyline 技術可在毫秒內重建每一次程序建立、連線與身分操作。在身分基礎架構調查期間，Storyline 會顯示從憑證竊取到權杖產生的完整序列，提供鑑識脈絡，免除跨安全工具進行手動關聯。

Singularity Platform 透過單一代理程式與主控台整合端點與身分遙測，消除攻擊者在鎖定同盟式基礎架構時所利用的可視性缺口。這種整合式方法可將身分事件與端點活動進行關聯，以偵測傳統身分解決方案完全無法發現的複雜攻擊。

Purple AI 使用自然語言查詢分析驗證遙測，加速威脅調查。安全團隊可以對身分安全進行對話式查詢——「顯示來自異常位置的驗證失敗嘗試」——根據早期採用者的說法，可將調查時間縮短 80%。

Singularity Endpoint 以行為式 AI 延伸身分防護，即時偵測憑證竊取企圖，與競爭對手相比可減少 88% 的誤判警示。在 MITRE 評估中，Palo Alto 產生了 178,000 則警示，而 SentinelOne 僅有 12 個可採取行動的威脅。

AI SIEM 提供快 100 倍的查詢效能，可即時關聯整個安全基礎架構中的身分事件。該平台可擷取來自任何 IdP 的驗證日誌，使用 OCSF 標準將其正規化，並將身分事件與端點、網路及雲端遙測進行關聯，以偵測複雜的攻擊鏈。

SentinelOne 透過自主式 AI 阻止身分基礎架構攻擊，與傳統 SIEM 解決方案相比，可快 67% 偵測 IdP 入侵企圖，同時完整提供驗證模式與攻擊進程的鑑識可視性。 申請 SentinelOne 示範 了解行為式 AI 如何保護身分提供者，防範憑證竊取、工作階段劫持，以及繞過傳統安全控制的同盟攻擊。

Singularity™ Identity

Detect and respond to attacks in real-time with holistic solutions for Active Directory and Entra ID.

Get a Demo

結論

身分識別提供者遭入侵是組織面臨最嚴重的安全風險之一。您的 IdP 加密聲明可在無需額外驗證的情況下，授予對每個聯合式應用程式的受信任存取，使其成為最終的單點故障。實作具抗網路釣魚能力的 MFA（使用 FIDO2/WebAuthn），部署具 SIEM 關聯分析的全面記錄，套用零信任原則，並持續依據安全基準驗證組態，以防禦鎖定您身分基礎架構的憑證竊取、工作階段劫持與聯合式攻擊。